PRODPRESS — 10 novembre 2026. Deux dossiers distincts touchent l’écosystème français du contrôle technique automobile. Auto-Planning a reconnu une cyberattaque, mais les volumes de données mis en vente par un pirate restent non authentifiés dans leur intégralité. Parallèlement, des fichiers attribués aux réseaux Sécuritest, Auto Sécurité et Vérif’Autos, liés au groupe SGS, sont proposés à la vente. À ce stade, la compromission directe de ces réseaux n’est pas établie.

1. Auto-Planning : l’intrusion reconnue, les volumes revendiqués à vérifier

Auto-Planning fournit des outils de réservation, des agendas numériques et des services associés à des centres de contrôle technique, garages et auto-écoles. Selon FrenchBreaches, la société a confirmé au début de novembre 2026 avoir été victime d’une cyberattaque. Un individu utilisant le pseudonyme ChimeraZ a ensuite annoncé, le 7 novembre, la mise en vente de fichiers attribués à Auto-Planning.

Le vendeur revendique 242 460 397 lignes de données, représentant 34,6 Go, dont environ 5,26 millions de numéros de téléphone distincts, 5,19 millions de noms et 2,27 millions de plaques d’immatriculation distinctes. Il évoque également des historiques de rendez-vous, des factures et des transactions. Ce sont des chiffres avancés par le vendeur, non un bilan officiel des personnes touchées. Une ligne de base de données n’équivaut pas à un individu : une même personne peut apparaître dans plusieurs fichiers.

L’attaque elle-même est reconnue ; l’entreprise n’a en revanche pas confirmé l’ensemble de ces volumes ni l’authenticité de la totalité des fichiers proposés à la vente. Les premières évaluations publiées faisaient état d’autres décomptes, notamment de près de 18 millions d’enregistrements de personnes et de 14 millions de plaques. Ces chiffres ne doivent pas être additionnés sans connaître leurs périmètres respectifs.

2. SGS, Sécuritest, Auto Sécurité, Vérif’Autos : une revendication distincte

Une autre annonce attribuée au même pseudonyme vise des données présentées comme liées aux réseaux de contrôle technique du groupe SGS. Le vendeur affirme détenir près de 96 Go, des dizaines de millions de lignes et plus de 40 millions de plaques annoncées et des informations concernant potentiellement 22,68 millions de personnes. La provenance exacte, la réalité de l’exfiltration et la compromission directe des systèmes de SGS ou des enseignes citées ne sont pas démontrées dans les informations consultées.

Le fait qu’un même vendeur revendique plusieurs jeux de données, ou qu’un prestataire travaille avec plusieurs réseaux, ne prouve ni une intrusion commune ni le piratage de chaque centre figurant dans les fichiers. Il faut distinguer la présence d’informations relatives à une enseigne de l’existence d’une faille de sécurité chez cette enseigne.

3. Quels risques concrets pour les automobilistes ?

• Des SMS ou e-mails frauduleux imitant les rappels de contrôle technique, avec de véritables caractéristiques du véhicule.
• De fausses amendes ou démarches ANTAI/ANTS, personnalisées avec le numéro d’immatriculation.
• Des tentatives d’usurpation d’identité, de démarchage frauduleux ou de recoupement d’informations.
• Des risques spécifiques si des historiques, coordonnées ou documents de facturation ont effectivement été récupérés.

Un message comportant la véritable plaque d’un véhicule n’est pas une preuve d’authenticité. Pour une contravention ou une démarche administrative, il convient d’ouvrir soi-même le service officiel plutôt que de suivre un lien reçu par SMS. En cas de doute, contacter directement le centre concerné.

4. Les questions toujours ouvertes

Les investigations doivent encore clarifier les dates exactes d’accès non autorisé, les catégories de données réellement exfiltrées, le nombre de personnes distinctes concernées, les éventuelles notifications individuelles et l’existence d’un lien technique entre ces affaires. Aucun des chiffres revendiqués ne doit être assimilé mécaniquement à un bilan officiel.

Glossaire

Exfiltration : copie ou transfert de données vers un système non autorisé. Enregistrement : ligne ou objet stocké dans une base ; une personne peut en avoir plusieurs. Hameçonnage : fraude utilisant des messages se faisant passer pour un organisme légitime. VIN : numéro d’identification du véhicule.

Sources et références

• FrenchBreaches — dossier Auto-Planning actualisé le 7 novembre 2026
• PASIVITE — suivi des revendications attribuées aux réseaux liés à SGS
• Solutions Numériques — analyse de la première revendication Auto-Planning
• CybActu — distinction Auto-Planning et SGS
• CNIL — que faire après une fuite de données ?

À lire aussi sur PRODPRESS

• Prestataires numériques : comment une faille peut toucher plusieurs enseignes
• Cybermenaces en Europe : les enseignements du rapport ENISA 2026

Note méthodologique PRODPRESS : publication de travail fondée sur des annonces et confirmations distinctes. Aucune base de données volée ni donnée personnelle brute n’est reproduite. Les revendications des pirates sont attribuées, non présentées comme des faits définitivement établis.